NIS2, notifica obbligatoria e notifica volontaria

L’ACN ha comunicato che dal 9 gennaio sarà disponibile la nuova piattaforma unificata per la notifica degli incidenti NIS2.

Infatti da gennaio 2026, tutte le realtà soggette alla NIS2 dovranno rispettare tempistiche precise e stringenti, per segnalare incidenti di sicurezza al CSIRT Italia.

Non si tratta di un adempimento formale, ma di un pilastro del nuovo approccio europeo alla gestione del rischio cyber, in cui notificare significa proteggere la propria azienda e contribuire a una sicurezza collettiva più robusta.

La NIS2 formalizza un processo di notifica strutturato in più fasi, con tempistiche precise per allerta preliminare, notifica completa e relazione finale.

Per una guida completa al processo di incident management per soggetti NIS2, puoi scaricare il nostro PDF, Incident Management per soggetti NIS2, dove troverai tutti i dettagli e i passaggi da seguire.

Notifica obbligatoria e notifica volontaria: cosa cambia

Gli obblighi di notifica sono distinti in 2 categorie:

Notifica obbligatoria

Riguarda gli incidenti significativi, cioè eventi che:

• interrompono o degradano servizi essenziali
• causano gravi perdite economiche
• compromettono dati sensibili
• hanno impatto su clienti, partner o fornitori

Notifica volontaria

Può riguardare:

• incidenti non significativi;
• near miss (eventi che avrebbero potuto causare impatti gravi);
• minacce informatiche rilevanti.

Non ci sono scadenze temporali specifiche.

Nel dubbio, si consiglia comunque di notificare: la normativa tutela chi segnala in buona fede.

Ricorda che le sanzioni per la mancata notifica di un incidente possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale.

Inoltre questa forma di collaborazione permette alle autorità di analizzare trend, mitigare rischi emergenti e supportare le aziende nella prevenzione.

Incidente, near miss o minaccia

Per la NIS2, un incidente è un evento che compromette:

• disponibilità
• integrità
• riservatezza
• autenticità dei dati o dei servizi

e causa (o può causare) gravi perturbazioni operative o perdite finanziarie, incluse conseguenze su persone fisiche o giuridiche.

Un near miss, invece, è un evento che stava per causare un incidente ma è stato evitato o non si è verificato.

Una minaccia informatica è una circostanza o azione che potrebbe compromettere sistemi, utenti o dati e si considera significativa se può portare a perdite materiali o immateriali rilevanti.

Come prepararsi

Per rispettare le nuove tempistiche serve lavorare su tre assi:

1. Rilevazione rapida

Soltanto una capacità di detection matura permette di capire se l’evento è realmente significativo.

2. Decisione interna chiara

Bisogna stabilire chi ha l’autorità di dichiarare che un evento è notificabile.

3. Processo documentato e testato

Eseguire simulazioni periodiche ti permette di reagire in modo rapido e preciso.

Se non l’hai ancora fatto, scarica il nostro PDF compilabile per l’Autovalutazione Incident Response per migliorare la preparazione del team.

Seguire questi passaggi è il primo passo per adottare il nuovo mindset NIS2, dove trasparenza e gestione degli incidenti diventano strumenti di protezione e resilienza aziendale.